Datenschutzerklärung erstellen: Was wirklich hineingehört
Kurz gesagt
Jede Datenverarbeitung muss einzeln dokumentiert werden — mit Zweck, Rechtsgrundlage, Empfänger und Speicherdauer. Generator-Texte sind ein guter Ausgangspunkt, aber kein fertiges Ergebnis: Sie müssen an die tatsächlich eingesetzten Tools angepasst und nach jedem Tool-Wechsel aktualisiert werden.
Wer eine Datenschutzerklärung braucht
Die Pflicht zur Information ergibt sich aus Art. 13 DSGVO und greift, sobald personenbezogene Daten direkt bei Betroffenen erhoben werden — also praktisch bei jeder Website, die ein Kontaktformular, einen Newsletter, Analytics oder auch nur Server-Logs führt. Selbst eine rein statische Seite ohne Formular speichert IP-Adressen in den Server-Protokollen. Ohne korrekte Erklärung drohen Beschwerden bei der Aufsichtsbehörde — in der Praxis meist ausgelöst durch Nutzer oder Mitbewerber.
Die Pflichtangaben im Überblick
- Verantwortlicher mit vollständigen Kontaktdaten — Name, Adresse, E-Mail, Telefon.
- Datenschutzbeauftragter, falls bestellt, mit Name und Kontaktdaten.
- Zweck und Rechtsgrundlage jeder Verarbeitung — für jeden Vorgang einzeln nach Art. 6 DSGVO: Einwilligung, Vertrag, berechtigtes Interesse.
- Empfänger oder Kategorien von Empfängern der Daten.
- Drittlandübermittlungen, sofern Daten außerhalb der EU verarbeitet werden, mit Rechtsgrundlage und Garantien.
- Speicherdauer — wie lange welche Daten aufbewahrt werden.
- Betroffenenrechte — Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit.
- Beschwerderecht bei der zuständigen Aufsichtsbehörde.
Die einzelnen Verarbeitungen durchgehen
- Kontaktformular: welche Daten erhoben werden, Rechtsgrundlage, Speicherdauer, Empfänger wie der E-Mail-Provider.
- Newsletter: Anmeldevorgang mit Double-Opt-in, Rechtsgrundlage Einwilligung, eingesetztes Tool, Widerrufsmöglichkeit.
- Webanalyse: eingesetztes Tool benennen, Cookies oder cookieloser Betrieb, Rechtsgrundlage, Opt-Out-Möglichkeit.
- Cookies: technisch notwendige Cookies ohne Einwilligungspflicht von Marketing-Cookies mit Einwilligungspflicht trennen.
- Externe Schriftarten und Skripte: werden sie von externen Servern geladen, wird die IP-Adresse übertragen — besser lokal hosten.
- Social-Media-Plugins: übertragen teils auch ohne Klick Daten an soziale Netzwerke; eine Two-Click-Lösung ist vorzugswürdig.
- Online-Shop, falls vorhanden: Bestellverarbeitung, Zahlungsdienstleister, Versanddienstleister.
- Bewerbungen über die Website: eigener Abschnitt mit Speicherdauer und Rechtsgrundlage nach Art. 6 und § 26 BDSG.
Warum Generator-Texte allein nicht reichen
Ein Tool-Name, der in der Erklärung steht, aber gar nicht mehr genutzt wird, ist ebenso ein Problem wie ein tatsächlich eingesetztes Tool, das nicht erwähnt wird — beides verstößt in unterschiedliche Richtungen. Deshalb müssen Generator-Texte zwingend individuell angepasst werden: Welche Tools sind wirklich im Einsatz, welche Daten werden tatsächlich erhoben, welche Dienstleister sind beteiligt?
Wie sich Vollständigkeit prüfen lässt
Am wirksamsten ist der Abgleich der Erklärung mit einer konkreten Checkliste der Pflichtinhalte nach Art. 13 DSGVO — jeder Punkt sollte explizit adressiert sein. Browser-Entwicklerwerkzeuge zeigen alle tatsächlich gesetzten Cookies und externen Anfragen der Website; jeder externe Dienst, der personenbezogene Daten erhält, muss in der Erklärung auftauchen. Und ein letzter, einfacher Test: Lässt sich die Erklärung auch ohne juristische Vorkenntnisse verstehen? Die DSGVO fordert klare und einfache Sprache ausdrücklich.